Data Breach: Notifica al Garante e Responsabilità dell'Impresa nel 2026
Una violazione dei dati personali può colpire qualsiasi organizzazione, indipendentemente dalle sue dimensioni o dal settore in cui opera. Quando accade, il titolare del trattamento si trova di fronte a un obbligo legale preciso, articolato su più livelli, con scadenze stringenti e conseguenze significative in caso di inadempimento. Comprendere cosa si intende per data breach, quando scatta l'obbligo di notifica al Garante Privacy e quale responsabilità ricade sull'impresa è oggi una competenza indispensabile per chi gestisce dati personali in Italia e in Europa.
Che Cosa Si Intende per Data Breach
Il Regolamento UE 2016/679 (GDPR) definisce la violazione dei dati personali come qualsiasi evento che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso a dati personali trasmessi, conservati o altrimenti trattati.
Si tratta, quindi, di un concetto ampio che comprende:
- la perdita di un dispositivo contenente dati personali non cifrati
- un attacco informatico con esfiltrazione di informazioni
- l'invio accidentale di una comunicazione al destinatario sbagliato
- l'accesso non autorizzato a database aziendali
- la cancellazione accidentale di dati senza possibilità di ripristino
Non ogni incidente informatico è automaticamente un data breach rilevante ai fini del GDPR. Occorre che l'evento riguardi specificamente dati personali e che possa determinare un rischio per i diritti e le libertà delle persone fisiche coinvolte.
L'Obbligo di Notifica al Garante Privacy
Quando Scatta l'Obbligo
Ai sensi dell'articolo 33 del GDPR, il titolare del trattamento è tenuto a notificare la violazione all'autorità di controllo competente, in Italia il Garante per la Protezione dei Dati Personali, "senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza".
L'obbligo di notifica non è assoluto. Non si applica quando sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Tuttavia, la valutazione di questo rischio deve essere documentata con rigore. Il titolare che decide di non notificare assume su di sé la responsabilità di questa valutazione e deve essere in grado di dimostrarne la correttezza in caso di ispezione.
Il Termine delle 72 Ore
Il termine di 72 ore rappresenta uno degli aspetti più critici della disciplina. Decorre non dal momento in cui si verifica l'incidente, ma da quando il titolare ne viene a conoscenza. Questo implica che le organizzazioni debbano disporre di sistemi di rilevazione degli incidenti efficienti: un'azienda che impiega settimane a individuare una violazione potrebbe trovarsi in una situazione di inadempimento formale pur avendo notificato tempestivamente una volta scoperto l'evento.
Se la notifica non può essere completata entro 72 ore, è possibile effettuarla in fasi, indicando nella comunicazione iniziale le ragioni del ritardo e fornendo le informazioni aggiuntive non appena disponibili.
Contenuto della Notifica
La notifica al Garante deve contenere, ai sensi dell'articolo 33, paragrafo 3, del GDPR:
- la descrizione della natura della violazione, con indicazione delle categorie e del numero approssimativo di interessati coinvolti
- il nome e i dati di contatto del Responsabile della Protezione dei Dati (DPO), ove nominato
- la descrizione delle probabili conseguenze della violazione
- la descrizione delle misure adottate o proposte dal titolare per porre rimedio alla violazione e per attenuarne i possibili effetti negativi
Il Garante italiano ha reso disponibile un apposito portale telematico per la trasmissione delle notifiche. L'utilizzo di questo strumento è obbligatorio per i titolari stabiliti in Italia.
La Comunicazione agli Interessati
Oltre alla notifica all'autorità di controllo, l'articolo 34 del GDPR prevede un ulteriore obbligo: comunicare la violazione direttamente alle persone fisiche i cui dati sono stati compromessi, quando la violazione sia suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone.
Rischio Elevato Versus Rischio Semplice
La distinzione tra rischio e rischio elevato è fondamentale:
- la notifica al Garante scatta in presenza di un semplice rischio per i diritti degli interessati
- la comunicazione agli interessati è invece dovuta solo in presenza di un rischio elevato
Un rischio è considerato elevato quando la violazione potrebbe determinare discriminazioni, furto di identità, perdite finanziarie, danni alla reputazione o altri pregiudizi significativi per le persone coinvolte. Le violazioni che riguardano categorie particolari di dati (dati sanitari, dati biometrici, dati relativi a condanne penali) sono tendenzialmente associate a un rischio elevato.
Come Avviene la Comunicazione agli Interessati
La comunicazione deve essere effettuata in linguaggio chiaro e semplice, descrivere la natura della violazione e fornire le informazioni necessarie per consentire agli interessati di proteggersi. Deve includere i dati di contatto del DPO e le misure raccomandate per mitigare i possibili effetti negativi.
Qualora la comunicazione individuale risulti sproporzionata, ad esempio in caso di un numero estremamente elevato di soggetti coinvolti, il GDPR consente di ricorrere a una comunicazione pubblica equivalente.
Il Ruolo del Responsabile del Trattamento
Il responsabile del trattamento (processor), cioè il soggetto che tratta dati per conto del titolare, ad esempio un fornitore di servizi cloud, svolge un ruolo rilevante nella gestione del data breach. Ai sensi dell'articolo 33, paragrafo 2, il responsabile è tenuto a notificare tempestivamente al titolare qualsiasi violazione di cui venga a conoscenza, "senza ingiustificato ritardo". Il termine di 72 ore per la notifica al Garante decorre poi in capo al titolare.
Questo schema implica che i contratti di nomina a responsabile del trattamento debbano disciplinare con precisione le modalità e i tempi di comunicazione degli incidenti. Un contratto che non preveda clausole specifiche sul data breach espone il titolare al rischio concreto di non rispettare le scadenze previste dal GDPR.
Le Responsabilità dell'Impresa e le Sanzioni
Il Principio di Accountability
Il GDPR non si limita a prescrivere determinati adempimenti. Impone al titolare di essere in grado di dimostrare la conformità al regolamento, secondo il principio di accountability. In materia di data breach, questo significa che ogni organizzazione deve:
- disporre di una procedura interna per la gestione degli incidenti
- tenere un registro delle violazioni, anche di quelle che non hanno dato luogo a notifica
- documentare le valutazioni di rischio effettuate
- formare il personale affinché sappia riconoscere e segnalare internamente un potenziale incidente
La mancata tenuta del registro delle violazioni costituisce di per sé una violazione del GDPR, indipendentemente dall'effettiva verificazione di un data breach.
Le Sanzioni Amministrative
Le sanzioni previste dal GDPR in caso di violazione degli obblighi relativi al data breach sono significative. La mancata notifica al Garante o la notifica tardiva senza giustificato motivo può comportare sanzioni fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo totale dell'esercizio precedente, se superiore.
Le violazioni più gravi, come il trattamento illecito di dati che ha causato o aggravato il data breach, possono comportare sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale.
Il Garante italiano ha irrogato negli anni numerosi provvedimenti sanzionatori in materia di data breach, includendo sia le violazioni degli obblighi di notifica sia le carenze nelle misure di sicurezza che hanno reso possibile la violazione.
La Responsabilità Civile
Accanto alle sanzioni amministrative, il GDPR prevede all'articolo 82 il diritto al risarcimento del danno in favore di chiunque abbia subito un danno materiale o immateriale a causa di una violazione. Il titolare del trattamento risponde dei danni causati a meno che non dimostri che l'evento non gli è in alcun modo imputabile.
Il danno immateriale riconosciuto dalla giurisprudenza europea e italiana include l'ansia, il disagio e la perdita del controllo sui propri dati, senza che sia necessario dimostrare un pregiudizio patrimoniale concreto. Questo apre scenari di responsabilità civile anche in caso di violazioni apparentemente minori.
Come Strutturare un Piano di Risposta al Data Breach
Le Fasi Fondamentali
Un piano di risposta strutturato deve articolarsi su più livelli:
Rilevazione e contenimento: identificare la violazione nel minor tempo possibile, isolare i sistemi compromessi e interrompere l'accesso non autorizzato.
Valutazione: determinare la natura e l'entità della violazione, le categorie di dati coinvolte, il numero di interessati e la probabilità che l'evento causi un rischio per le persone fisiche.
Notifica: decidere se notificare al Garante e agli interessati, preparare le comunicazioni e trasmetterle nei termini previsti.
Rimedio e prevenzione: adottare le misure correttive necessarie, aggiornare le procedure interne e documentare l'intero processo nel registro delle violazioni.
Il Ruolo del DPO
Il Responsabile della Protezione dei Dati svolge una funzione centrale nella gestione del data breach. Deve essere coinvolto sin dalle fasi iniziali della valutazione e può fornire un contributo determinante nella redazione della notifica e nella comunicazione agli interessati. Nelle organizzazioni prive di DPO obbligatorio, è comunque opportuno designare un referente interno per la privacy con competenze adeguate.
Data Breach nel 2026: Le Tendenze in Atto
Nel 2026 il panorama delle violazioni dei dati personali è caratterizzato da una crescente sofisticazione degli attacchi ransomware, che combinano la cifratura dei sistemi con l'esfiltrazione dei dati e la minaccia di pubblicazione. Questa tipologia di incidente presenta profili di complessità particolare, perché il semplice pagamento del riscatto non esclude che i dati siano stati effettivamente sottratti e che l'obbligo di notifica sia scattato.
Il Garante italiano ha chiarito in più occasioni che in caso di attacco ransomware con possibile esfiltrazione, l'obbligo di notifica scatta salvo che il titolare possa dimostrare in modo certo che i dati non siano stati esfiltrati. L'incertezza, in questo ambito, milita a favore della notifica.
Le autorità di controllo europee stanno inoltre prestando crescente attenzione alla supply chain: le violazioni che originano da fornitori terzi sono in aumento e sollevano questioni complesse in ordine alla tempestività della comunicazione tra responsabile e titolare.
Domande Frequenti sul Data Breach e la Notifica al Garante
Ogni violazione di dati va notificata al Garante?
No. L'obbligo di notifica scatta solo quando la violazione è suscettibile di presentare un rischio per i diritti e le libertà delle persone fisiche. Le violazioni a rischio trascurabile non devono essere notificate ma vanno comunque documentate nel registro interno.
Cosa succede se la notifica viene effettuata oltre le 72 ore?
Una notifica tardiva non è automaticamente sanzionata. Il GDPR consente di notificare oltre il termine indicando le ragioni del ritardo. Tuttavia, un ritardo ingiustificato può essere considerato una violazione autonoma e aggravare la valutazione complessiva del Garante.
Il responsabile del trattamento deve notificare direttamente al Garante?
No. Il responsabile del trattamento notifica la violazione al titolare. È il titolare che ha l'obbligo di notificare al Garante. Fa eccezione il caso in cui il responsabile sia anche titolare autonomo di alcuni trattamenti.
Una piccola impresa è tenuta agli stessi obblighi di una grande azienda?
Sì. Gli obblighi del GDPR in materia di data breach si applicano a tutti i titolari del trattamento, indipendentemente dalle dimensioni. Le sanzioni, tuttavia, sono commisurate anche al fatturato, il che ne attenua l'impatto proporzionale sulle realtà più piccole.
È obbligatorio avere un registro delle violazioni?
Sì. L'articolo 33, paragrafo 5, del GDPR impone al titolare di documentare qualsiasi violazione dei dati personali, compresi i casi in cui non si procede alla notifica. Il registro deve contenere i fatti relativi alla violazione, le sue conseguenze e i provvedimenti adottati.
Gestire correttamente un data breach richiede competenze legali aggiornate, procedure interne solide e la capacità di prendere decisioni tempestive sotto pressione. La predisposizione preventiva della documentazione necessaria, dai contratti con i responsabili del trattamento alle procedure di risposta agli incidenti, riduce significativamente il rischio di incorrere in sanzioni e protegge la reputazione dell'organizzazione.
Se hai bisogno di supporto nella redazione di procedure privacy, contratti di nomina a responsabile del trattamento o nella gestione documentale legata al GDPR, scopri come IUS AI può aiutarti: con il generatore di atti legali e la gestione documentale basata su intelligenza artificiale, puoi lavorare in modo più rapido, preciso e conforme alle normative vigenti.
Inizia a usare IUS AI gratuitamente e porta la tua pratica legale nel 2026.